Una cuenta ajena leyó el archivo de clientes de la estadounidense DigiCert, con pasaportes

Una cuenta ajena leyó parte del archivo de clientes de DigiCert entre el 27 de junio y el 2 de julio, según explica la autoridad de certificación en un informe de incidente en el rastreador Bugzilla de Mozilla. Casi todo eran datos de contacto profesional: nombres, correos de trabajo, teléfonos y direcciones de empresa. Una "pequeña minoría" de las cuentas de clientes incluía además un documento como pasaporte, permiso de conducir o factura de suministros. DigiCert no dice cuántas personas están afectadas.

Cómo quedó accesible desde fuera

El 4 de febrero de 2025, DigiCert trasladó el sistema de un segmento de red restringido por VPN a otra zona de disponibilidad, lo que permitió llegar a él desde fuera. Además incluía una función de autorregistro creada para otros productos. Las cuentas creadas así no estaban sujetas a la autenticación multifactor y recibían por defecto permisos de lectura, y eso bastaba para abrir los datos archivados.

Según el informe, nadie lo detectó porque el traslado "se trató como un cambio de infraestructura y no como un cambio de seguridad". Las alertas sobre cuentas nuevas y volúmenes de peticiones inusuales también eran insuficientes.

Visto en junio, entendido en octubre

DigiCert escribe que el caso "se gestionó al principio como un problema de creación de cuentas y no como un acceso a datos". La primera revisión falló porque la cuenta no tenía ninguna aplicación asignada y el personal dio por hecho que no podía leer nada.

Lo que no se tocó, según la empresa

Según el informe, la cuenta no podía modificar registros, aprobar validaciones ni emitir certificados, y los registros no muestran emisiones ni revocaciones vinculadas a ella. Los sistemas de la autoridad de certificación están en segmentos de red separados. DigiCert afirma que los clientes no tienen que sustituir los certificados activos. Es un caso distinto del ataque al portal de soporte de abril, tras el cual revocó 60 certificados de firma de código.

Lo que aún no se sabe

El informe no da ninguna cifra y solo ofrece estadísticas resumidas a representantes de los programas raíz, si las piden. En el hilo de Bugzilla, un participante pidió números y confirmar que se trata de datos de verificación de suscriptores, y otro preguntó qué levantó las sospechas el 12 de octubre. Hasta ahora, las respuestas de DigiCert allí solo marcan tareas como completadas.

La empresa sigue revisando documentos de identidad para saber a quién afecta. Su portavoz dijo a The Record que "no hay pruebas de uso indebido" y que se ha informado a las fuerzas de seguridad, pero no aclaró si los atacantes se han puesto en contacto. No se ha revelado quién estaba detrás de la cuenta.

Si ha recibido el correo

Nuestra lectura: lo más probable es que venga phishing. Quien tenga estos datos conoce su nombre, su correo de trabajo y sabe que usted es contacto de un cliente de DigiCert, así que un aviso falso de renovación o revalidación resultaría creíble. Como DigiCert dice que no hay que hacer nada con los certificados, desconfíe de cualquier mensaje sobre este incidente que pida iniciar sesión o reemitir. Si alguna vez envió un documento a DigiCert, pregunte si estaba entre los datos leídos. La copia de un documento sigue siendo útil a los estafadores durante años, y por eso el regulador japonés pidió a los bancos dejar de aceptar fotos subidas tras una filtración parecida.